Warum jeder in Ihrem Namen schreiben kann

Die E-Mail wurde in den 1980er-Jahren entwickelt, zwischen Universitäten, die einander vertrauten. Nichts im ursprünglichen Protokoll überprüft die Identität des Absenders. Eine E-Mail zu schreiben, die [email protected] anzeigt, erfordert weder ein Passwort noch einen Hackerangriff noch besondere Kenntnisse. Es ist, als schriebe man einen beliebigen Namen auf die Rückseite eines Briefumschlags.

Konkret kann ein Betrüger Ihren Kunden eine Rechnung mit Ihren Farben, Ihrer Signatur und Ihrer Absenderadresse schicken und einfach die Bankkontonummer ändern. Er kann auch Ihrem Buchhalter schreiben, sich als Sie ausgeben und eine dringende Überweisung verlangen. Das ist der Mechanismus des CEO-Betrugs, der Schweizer Unternehmen jedes Jahr Millionen kostet.

Im Laufe der Zeit wurden drei Mechanismen ergänzt, um diese Lücke zu schliessen: SPF, DKIM und DMARC. Es sind einfache Textzeilen, die in der Konfiguration Ihres Domainnamens veröffentlicht werden. Sie kosten nichts. Bei den meisten KMU der Romandie fehlen sie oder sind falsch eingestellt, oft weil sich niemand je die Frage gestellt hat.

SPF: die Liste Ihrer autorisierten Absender

SPF ist eine öffentliche Liste der Server, die berechtigt sind, E-Mails für Ihre Domain zu versenden. Ihr E-Mail-Hoster steht darauf, ebenso Ihre Fakturierungssoftware, Ihr Newsletter-Tool und das Kontaktformular Ihrer Website.

Wenn eine Nachricht bei Ihrem Kunden eintrifft, fragt dessen Server diese Liste ab und vergleicht sie mit dem tatsächlichen Absender. Kommt die Nachricht von einem unbekannten Server, ist sie verdächtig. Das Ende der Liste gibt an, was damit zu tun ist. Ein Eintrag, der auf -all endet, verlangt eine strikte Ablehnung. ~all verlangt nur, die Nachricht als zweifelhaft zu behandeln. ?all oder +all verlangen gar nichts und machen den Schutz nutzlos.

Die Korrektur besteht darin, alle Ihre Versanddienste zu erfassen und dann einen einzigen Eintrag zu veröffentlichen, der sie auflistet. Eine Domain darf niemals zwei SPF-Einträge tragen: Die Prüfung schlägt dann bei den meisten Empfängern fehl.

DKIM: die Signatur, die den Ursprung beweist

DKIM fügt jeder Nachricht, die Sie versenden, eine unsichtbare elektronische Signatur hinzu. Ihr Server signiert mit einem privaten Schlüssel, den nur er kennt. Ihre Domain veröffentlicht den entsprechenden öffentlichen Schlüssel. Der Empfänger überprüft die Signatur und weiss zweierlei: Die Nachricht stammt tatsächlich aus Ihrer Infrastruktur, und ihr Inhalt wurde unterwegs nicht verändert.

Der öffentliche Schlüssel wird unter einem Namen veröffentlicht, der Selektor genannt wird. Jeder Hoster verwendet seinen eigenen. Diese Besonderheit hat eine wichtige Folge für unser Tool: Ein Selektor lässt sich von aussen nicht erraten. Wir prüfen die gebräuchlichsten, aber eine fehlende Erkennung beweist nie das Fehlen von DKIM.

Die Korrektur ist fast immer ein Häkchen bei Ihrem E-Mail-Hoster. Er erzeugt den Schlüssel und nennt Ihnen die Zeile, die Sie in Ihrer DNS-Zone veröffentlichen müssen.

DMARC: die Anweisung an die anderen

Mit SPF und DKIM lässt sich ein Spoofing erkennen. Sie sagen nicht, was damit zu tun ist. Ohne Anweisung entscheidet jeder Server für sich, und die meisten stellen die Nachricht trotzdem zu. Das ist die Aufgabe von DMARC: die Anweisung öffentlich und ein für alle Mal zu geben.

Es gibt drei Anweisungen. p=none verlangt keine Aktion und dient nur der Beobachtung. p=quarantine verlangt, die Nachricht als unerwünscht einzustufen. p=reject verlangt, sie abzulehnen, ohne sie überhaupt in den Spam-Ordner zuzustellen. Nur Letztere schützt Ihre Kunden wirklich.

DMARC bringt einen zweiten, viel zu wenig genutzten Vorteil. Indem Sie eine Berichtsadresse hinzufügen, erhalten Sie täglich die Liste der Server, die in Ihrem Namen Nachrichten versenden. So entdecken Sie Ihre eigenen vergessenen Dienste sowie die Spoofing-Versuche, deren Ziel Sie sind.

Die Einführung erfolgt immer in drei Schritten, nie auf einmal. Zuerst p=none während einiger Wochen zur Beobachtung, dann p=quarantine, dann p=reject. Direkt zur Ablehnung überzugehen, würde Ihre eigenen Rechnungen und Bestellbestätigungen verschwinden lassen.

Was dieses Tool nicht prüft

Dieses Tool liest drei öffentliche Einträge. Es verbindet sich mit keinem Server, versendet keine Nachricht und greift auf kein Postfach zu. Es übersieht daher mehrere wichtige Dinge.

Es prüft nicht, ob Ihr SPF-Eintrag korrekt ist: Eine Domain kann eine scheinbar korrekte Liste veröffentlichen, die aber Ihre Fakturierungssoftware vergessen hat. Es erkennt keine benutzerdefinierten DKIM-Selektoren. Es testet keine ähnlichen Domains, jene, die ein Betrüger durch Änderung eines einzigen Buchstabens registriert, um all diese Schutzmassnahmen zu umgehen. Es sagt nichts über die Sicherheit Ihrer Postfächer selbst aus: Ein gehacktes E-Mail-Postfach versendet einwandfrei authentifizierte Nachrichten, da sie von Ihrem echten Konto ausgehen.

Diese Schutzmassnahmen filtern auch nicht, was Sie empfangen. Gegen Phishing, das in Ihren Postfächern eintrifft, braucht es eine dedizierte Filterung und Mitarbeitende, die darauf geschult sind, die Signale zu erkennen. Um Ihren gesamten Schutz einzuordnen, deckt der Cyber-Check-up die zwölf grundlegenden Massnahmen in drei Minuten ab. Die übrigen Tools der Website vervollständigen das Bild.